カード決済サービス Square でスキミング実現デモ（情報元のブックマーク数）
ぁぁ。。。。クレジットカードを読み込んで音声にする際に暗号化されてなかったのか・・・・
iPhone や Android にドングルを取り付けて利用するクレジットカード決済サービス Square は、はじめ Twitter 共同創業者の Jack Dorsey 氏が手がけたことで話題となり、そのあとも決済の手軽さゆえ徐々に米国で人気を集めつつあります。しかし、専門家によれば Square にはセキュリティ面で懸念があるとのこと。実際、セキュリティカンファレンス Black Hat では、Squareを悪用するデモが披露されました。研究成果を発表したのは、その名も Aperture Labs という英国のセキュリティ調査会社で働く、Adam Laurie氏とZac Franken氏。すばらしい銃は開発していないはずです。
カード決済サービス Square でスキミング実現デモ - Engadget 日本版
Laurie氏らが紹介したデモはふたつ。ひとつめは、クレジットカードを使わずに Square の決済を利用する方法です。Square ではスキャンしたカードのデータを音声化し、iPhone / Android のヘッドホン端子経由で端末内アプリへと送信しますが、Laurie氏らはドングルを使わず、カードの磁気データから音声へ直接変換することに成功しました。これにより、たとえば盗難されたクレジットカードの情報を利用して、本来はカードがなければ利用できないはずの Square で決済を行えてしまいます。
また、もうひとつのデモはその反対で、Square リーダーで音声化されたデータを変換し、クレジットカード情報に復元するというもの。問題は音声化されたデータに暗号化が施されていないことで、このままでは Square のドングルがスキミングに活用されてしまいます。
